Django：防止直接访问文件

Question

我想从我的 web 目录的根目录后面动态地提供文件。目前，我正在静态地提供所有文件，这些文件只是为了包含我的 javascripts 和 css 文件。我意识到这可能很愚蠢，但我无法以任何其他方式提供文件！

所以，我想动态地提供文件，而用户不能在其他时间仅使用 url 访问。

我的设置

ADMIN_MEDIA_PREFIX = '/media/'
MEDIA_ROOT = os.path.join( APP_DIR, 'site_media' )
MEDIA_URL = 'http://localhost:8000/site_media/'

我的网址

( r'^site_media/(?P<path>.*)$', 'django.views.static.serve', { 'document_root': settings.MEDIA_ROOT } )

谢谢！

Answer 1

“动态”是什么意思？你想达到什么目的？是否要控制对文件的访问？

如果你想运行一些 Django-view 来决定是否允许用户访问文件，你可以使用 sendfile。有关如何设置正确标头的代码，请参见以下 sn-p：http://djangosnippets.org/snippets/2226/

您的网络服务器也需要支持此标头，至少我使用过的 apache 和 nginx 支持。

您还需要考虑如何存储和分发文件，因为运行网络服务器的服务器需要访问文件。这取决于您的设置。

Answer 2

您可以以一种很难猜到的方式混淆 URL；这一点都不安全，但它会阻止休闲扑克玩家。您还需要确保在生产中用于提供静态媒体的任何内容均未设置为显示目录列表。

如果您需要更安全的东西，这是我过去所做的：

在models.py中：

my_storage = FileSystemStorage(location=settings.MY_FILES_ROOT, base_url='DO_NOT_USE')

class Resource (models.Model):
    //...snip...
    resource_file = models.FileField(storage = my_storage)

其中settings.MY_FILES_ROOT 是您正常保存静态文件的路径之外的路径。

然后，在views.py中：

def get_file(request, whatever_id):
    //check if the user is allowed to access the file here
    resource = Resource.objects.get(id=resid)
    response = HttpResponse(resource.resource_file.read(), mimetype='text/whatever')
    response['Content-Disposition'] = 'attachment; filename=whatever.ext'
    return response

当然，这种方法只有在您知道文件的 MIME 类型和文件扩展名时才有效，无论它始终相同（我在始终提供 PDF 的应用程序中执行此操作）还是从文件中提取它。